RPKI中CA资源分配风险及防护技术.pdfVIP

201 6 年第25 卷第 8 期 计算机系统应用 h句:I/ RP阳中CA 资源分配风险及防护技术① 刘晓伟 12，延志伟 2，耿光刚 2，李晓东 1 ，2 I(中国科学院大学计算机网络信息中心，北京 100190) 2( 中国互联网络信息中心 互联网域名管理技术国家工程实验室，北京 1 ∞190) 搞 要:边界网关协议在安全方面存在严重的缺陆，容易导致路由劫持这一互联网安全威胁.为此，国际互联网 工程任务组提出了资源公钥基础设施(Resourω Public Key Infrastructure，阳刚以防止路由劫持的发生然而随着 RPKI 技术的发展及其在全球范围内的部署，与 RPKI 中认证权威相关的安全问题逐渐突显，并受到广泛关注.对 RP阳 中认证权威的资源分配过程进行研究分析通过实验测试验证了认证权威在资源分配的过程中资源重复 分配和未获授权资源分配两种潜在的安全风险，并分析了两种风险对资源持有者可能造成的不良影响.此外，针 对这两种安全风险，提出并实现了一种用于保证 RP阳 中认证权威资源分配安全性和准确性的事前控制机制， 该机制可以有效地防止资源重复分配和未获授权资源分配两种操作风险的发生，减少了由于认证权威的错误操 作所导致的故障恢复等待时间.最后，通过进一步的实验测试，验证、分析了这种事前控制机制的有效性和可行 性 关键词:资源公钥基础设施;认证权威;资源重复分配i 未获授权资源分配;事前控制 Resour ce AlIocation Risk s b y CAs in RPKI and F easible Solutions 2 LIUXi份制1气 YAN Zhi-Wei , GENG Guang-G时， LIXi协Doog1.2 1(Computer Network Information Cen帆University ofChine始Academy ofScienc战Beijing 1 ∞1 90， China) (National Engineering Laboratory for Naming and Addressing, China Intemet Network Information Center, Beijing 1∞190， China) Abstract: There are serious security 叽归erabili阳inBGP 但order Gateway Protocol) which may lead to rou能hijacking. In orderωover，∞me these BGP security defects, RPKI (R臼ource Public Key Infrastructure) was proposed by IETF (Intemet Engineering Task Force). Howeve民 with the development and global deploymeot of RPK.I, a lot ofcoocerns about the security of certificate authority in RPK.I have beeo raised. In 也is pape民 it carries out experirnents about two sceoarios (resource reassignmeot and unauthorized resourωassignmeot) on our RPK.I testbed, and analyzes the securi纱 problems they may lead to , based 00 our research and analysis of the proc臼s of resource allocation. Besides, for these two kinds of 如curity risks , this paper preseots and implements a pre-cοotrol m民hanism. Finally, it conducts further experirnents 00 our tes阳d to pro